开源红队 agent 被武器化：ARTEX 从夺魁到被滥用，只用了两个月/SUENCA

一个「教科书级别」的双刃剑故事

2026 年下半年，开源安全圈发生了最值得复盘的一件事，主角是一款叫 ARTEX 的开源框架。它的故事几乎集齐了所有戏剧性元素：一位开发者写出了它的多智能体架构，放到 GitHub 上；9 月，它在百度「Agent+」红队挑战赛上夺魁，声量拉满；紧接着，短短几周内，它先后出现在韩国金融机构数据泄露、日本企业攻击中；再到 10 月 8 日，作者被迫把项目闭源——彼时，据 Wiz 统计它已经被 fork 了超过 1.2 万次。

而它的最后一幕，是 10 月 21 日微软的官方披露：一个有组织的攻击者，靠着它自动化攻击了全球数百家机构。

从「开源夺魁」到「批量入侵工具」，这中间只隔了大约两个月。

ARTEX 到底是什么

ARTEX 不是一个大模型，而是一套「让大模型去渗透」的多智能体框架。它的架构很清楚：一个「规划者」（planner）agent 负责拆目标、定下一步；多个「工作者」（worker）agent 负责实际执行——跑 nmap、curl、Impacket 这类工具；每一次结果都会写进一张「资产与漏洞图」，模型读图、再决定下一步。全程人只需要给个目标，接下来几乎不用插手。

后端是 Go、前端 Next.js，底层用了一套叫 norma 的 SDK 来组装 agent 的工具、权限、记忆。它默认能接 Claude、OpenAI、DeepSeek 等任何一家模型。换句话说，它把过去一个渗透测试员「扫描 → 判断 → 试下一招」的完整心流，变成了一个可以不知疲倦、7×24 小时循环的自动化闭环。

作者给它的免责声明写得非常认真——仅供学习与本地验证，禁止用于任何线上系统。但开源协议（AGPL-3.0）本身，管不住别人拿去干什么。

微软披露的战果，数字相当吓人

微软在 10 月 21 日的调查报告里，把这一攻击活动与 ARTEX 的关系讲得很具体：

早在 9 月，该攻击者就用 ARTEX 对全球数百家机构发起自动化攻击，行业横跨航空航天、汽车、能源、金融、半导体、软件等；
多起入侵中，从锁定目标到拿下云端特权访问，用时不到 3 小时；
微软认定，最近的 ConnectWise 多租户应用供应链入侵也是它干的，手法是用已经被客户授权的 ConnectWise 应用「借道」登录，跳过了交互式登录和 MFA，进而向 2250 多个租户发起尝试，其中一个管理应用甚至给自己授予了「全局管理员」角色；
同期它还打了一场体量惊人的密码喷洒：10 月 10 到 14 日，151000 多次失败登录、8 家机构 327 个账号、峰值每分钟 2900 次失败、单日 11 万次——不过这次防御扛住了，没有观测到成功登录。

另一个安全厂商 Wiz 的独立观察，把「这是什么」讲得更透：他们看到同一套 ARTEX 工具正在打 IT 和软件厂商，扒 JavaScript 源码、source map 和 Swagger 文档来还原内部 API，伪造 `alg:none` 的 JWT 去喂 SSO，对 Okta / Entra / Cognito 做密码喷洒，速率约一秒一次；会话能连续跑 24 到 30 小时，IP 被封掉几分钟内就换新的，登录页限速了，它就换同一主机的另一个端点继续。

可怕的不在于「新招式」，而在于「不累」

这是整起事件最关键的一点：它用的每一招单拎出来，都不是新东西。密码喷洒、OAuth 滥用、伪造无签名 JWT、扒 source map 还原接口——这些手法在攻防手册里躺了很多年。

真正发生质变的，是那个 agent 闭环带来的「攻击经济学」翻转：

人类红队会累、会烦、会下班，agent 不会；
人类被限速、被封 IP 会停，agent 会秒换端点、秒换代理继续；
人类一次只能盯一条路径，agent 能把侦察、爆破、越权探测并行撒到几百个目标上。

于是「试错」的边际成本几乎归零——反正大多数尝试会失败，但只要几百个目标里有一个弱口令、一个配置失误，就够了。微软那句总结非常准：攻击者「到目标」的时间被大幅压缩，防守方从告警到处置的窗口，已经要用小时、甚至分钟来算。

对防守方的冲击，比想象中更直接

过去的安全建设，隐含着一个前提：攻击者是人，速度有限，告警之后还有时间拉会、研判、封堵。ARTEX 这类工具把前提打掉了。当一个 agent 能在 3 小时内从首次触达走到云端特权，传统的「告警—人工响应」就彻底不够用了。

更麻烦的是那条供应链路径——ConnectWise 事件里，攻击者根本没碰微软的漏洞，而是利用了「客户早已授权的、且被广泛信任的应用」这条既有通路。这类供应链和 OAuth 权限滥用，恰恰是 agent 最喜欢、也最容易放大伤害的地方：它不需要挖一个 0day，只需要在成千上万个「已被信任的应用」里，找到那个权限给多了的。